Glossar
Snaplen (Snapshot-Länge)
Die Snaplen ist die maximale Zahl an Bytes, die ein Mitschnitt pro Paket speichert; der Rest wird bei der Aufzeichnung verworfen und ist verloren.
Die Snaplen (Snapshot-Länge) ist die maximale Anzahl an Bytes, die ein Capture-Tool pro Paket speichert. Ist ein Paket länger, werden nur die ersten Snaplen Bytes geschrieben, und der Eintrag hält sowohl die aufgezeichnete als auch die Originallänge fest, damit ein Leser erkennt, dass das Paket abgeschnitten wurde. Bei pcap wird die Snaplen einmal im Datei-Header festgelegt, bei pcapng pro Interface.
Eine kleine Snaplen hält Dateien klein und zeichnet nur Header auf, verhindert aber eine vollständige TCP-Reassemblierung und Dateiextraktion, weil Nutzdaten fehlen. Mit tcpdump fordert -s 0 vollständige Pakete an. PCAP Parser meldet, wie viele Pakete durch die Snaplen gekürzt wurden, wie im Rundgang PCAP Parser nutzen beschrieben.